Autor: Martyna Sergiel
W konsekwencji cyberataku na firmę MyDr podmioty medyczne, które korzystają z jej systemu, muszą przeanalizować, czy doszło u nich do wycieku i przejęcia danych pacjentów.
Przedstawiciele Naczelnej Izby Lekarskiej podali informację, że w przypadku dużego ryzyka pacjenci muszą otrzymać wiadomość o wycieku.
W wyniku doniesień o prawdopodobnym wycieku danych niemal 19 mln pacjentów Naczelna Izba Lekarska sięga do opinii Prezesa Urzędu Ochrony Danych Osobowych na temat placówek, które powierzały przetwarzanie danych firmie MyDr.
To właśnie administrator musi przeanalizować, czy doszło do naruszenia ochrony danych osobowych i czy może ono powodować ryzyko dla praw lub wolności osób fizycznych.
W przypadku, gdy naruszenie podlega zgłoszeniu, administrator powinien zawiadomić UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia.
Samo zgłoszenie incydentu do UODO nie kończy obowiązków administratora. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności pacjentów, administrator powinien również bez zbędnej zwłoki poinformować osoby do których dane się odnoszą.
W zawiadomieniu należy opisać m.in.:
- charakter naruszenia,
- możliwe konsekwencje oraz
- działania podjęte lub proponowane w celu ograniczenia jego skutków.
Jeśli chodzi o dane dotyczące zdrowia UODO wskazuje na szczególne niebezpieczeństwa, takie jak dyskryminacja, ostracyzm społeczny czy naruszenie dóbr osobistych.
Centrum e-Zdrowia uspokaja, że incydent dotyczący MyDr nie przesądza o naruszeniu bezpieczeństwa centralnych usług e-zdrowia. W opinii cytowanych przedstawicieli CeZ nie wpływa on na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie.
Sprawa jest monitorowana przez właściwe służby i instytucje państwowe. Centrum e-Zdrowia zwiększyło również poziom monitoringu i pozostaje w stanie najwyższej gotowości.
Naczelna Izba Lekarska przypomina także, że osoby, których dane mogły zostać objęte incydentem, powinny zachować szczególną ostrożność względem SMS-ów, e-maili i telefonów. Wyłudzenie dodatkowych informacji może być próbą wykorzystania danych pochodzących z ataku hackerskiego.
Wśród zaleceń znajduje się na przykład zastrzeżenie numeru PESEL, stosowanie unikalnych haseł i uwierzytelniania wieloskładnikowego oraz zachowanie szczególnej ostrożności przy podawaniu danych.
Opracowano na podstawie: https://www.rynekzdrowia.pl/Polska-i-swiat/Wielki-wyciek-danych-medycznych-Pacjent-moze-dostac-wiadomosc-od-swojej-przychodni,287710,15.html.